디지털 증거의 해시값은 왜 기록하나

해시값은 파일 내용에 계산식을 적용해 얻은 식별값입니다. 복제 전후 값이 같으면 내용이 같다는 점을 확인하는 데 쓰입니다.

확인할 기록

원본 매체, 복제 일시, 사용 도구, 산출된 값과 봉인 절차를 봅니다. 파일 하나의 값인지 전체 이미지 파일의 값인지도 구분합니다.

해시값의 한계

값이 같다는 사실은 그 자료가 누구에 의해 언제 작성됐는지까지 자동으로 증명하지 않습니다. 작성자·계정 귀속과 대화 맥락은 다른 증거로 검토합니다.

이견이 있을 때

어느 단계의 동일성을 다투는지 특정해야 합니다. 전체 포렌식 절차는 휴대전화 포렌식, 참여권은 어디까지 보장되나를 참고할 수 있습니다.

계산 대상을 확인합니다

물리 매체 전체 이미지, 논리 복제본, 개별 파일은 서로 다른 해시값을 가질 수 있습니다. 사용 알고리즘, 계산 대상과 시점을 함께 보고 압수목록의 파일명과 포렌식 보고서 경로가 이어지는지 확인합니다. 재압축·형식 변환·메타데이터 변경이 있으면 화면이 비슷해도 값은 달라질 수 있습니다.

동일성과 작성자는 다릅니다

복제 전후 값이 같다는 것은 특정 시점의 데이터가 같다는 점을 뒷받침합니다. 계정을 누가 썼는지, 메시지가 어떤 맥락에서 작성됐는지, 기기 시간이 정확했는지는 별도 자료로 판단합니다. 이견이 있다면 어느 단계의 값과 기록이 맞지 않는지 구체적으로 표시합니다.

해시값의 계산 대상과 동일성 범위

해시값은 특정 계산 대상의 데이터 동일성을 확인하는 식별값입니다. 물리 매체 전체 이미지, 논리 복제본과 개별 파일은 계산 대상이 달라 서로 다른 값을 가질 수 있습니다. 사용 알고리즘, 원본 매체, 복제 시각, 도구, 계산 대상과 봉인 절차가 함께 기록돼야 값을 해석할 수 있습니다. 값만 있고 대상이 없으면 어느 단계의 동일성인지 알기 어렵습니다.

원본 복제부터 분석본까지 값 대조

압수목록의 파일명과 포렌식 보고서 경로를 연결하고 원본 획득, 복제, 분석본 생성, 재변환 순서로 값을 배열합니다. 재압축이나 메타데이터 변경도 표시합니다. 절차별 법정기간과 기관이 정한 일정을 구분합니다. 압수목록, 이미징 로그, 해시 산출 화면, 포렌식 보고서, 봉인·인계 기록을 확보합니다. 서로 다른 값이 있다면 알고리즘과 대상을 먼저 대조합니다.

이미징 로그와 봉인·인계 기록 준비

압수목록, 이미징 로그, 해시 산출 화면, 포렌식 보고서, 봉인·인계 기록을 확보합니다. 서로 다른 값이 있다면 알고리즘과 대상을 먼저 대조합니다.

같은 해시값이 증명하지 않는 사실

같은 해시값은 복제 전후 내용 동일성을 뒷받침하지만 작성자, 계정 사용자, 작성 시각의 정확성이나 대화 맥락까지 자동 증명하지 않습니다.